【bat】certutilでファイルのハッシュ値を取得・検証する完全ガイド｜MD5・SHA1・SHA256・変数抽出・一括計算・改ざん検知まで徹底解説

rem 書式: certutil -hashfile <ファイルパス> <アルゴリズム>

certutil -hashfile "C:\download\setup.exe" MD5
certutil -hashfile "C:\download\setup.exe" SHA1
certutil -hashfile "C:\download\setup.exe" SHA256

C:\> certutil -hashfile "C:\download\setup.exe" SHA256
SHA256 ハッシュ (ファイル C:\download\setup.exe):
a3f5d2e1b4c6789012345678abcdef0123456789abcdef0123456789abcdef01
CertUtil: -hashfile コマンドは正常に完了しました。

@echo off
setlocal enabledelayedexpansion

set "FILE=C:\download\setup.exe"

rem findstr /v でヘッダー行と完了メッセージ行を除外
rem "CertUtil" を含む行と "ハッシュ" を含む行を除外する
for /f "tokens=* delims=" %%H in (
    'certutil -hashfile "%FILE%" SHA256 ^| findstr /v "CertUtil" ^| findstr /v "SHA256"'
) do set "HASH=%%H"

echo SHA256: %HASH%

@echo off
setlocal enabledelayedexpansion

set "FILE=C:\download\setup.exe"

rem findstr /R で16進数のみの行を抽出
rem ^[0-9a-fA-F] で始まる行のみを対象にする
for /f "tokens=* delims=" %%H in (
    'certutil -hashfile "%FILE%" SHA256 ^| findstr /R "^[0-9a-fA-F]"'
) do set "SHA256=%%H"

rem MD5も同様に取得
for /f "tokens=* delims=" %%H in (
    'certutil -hashfile "%FILE%" MD5 ^| findstr /R "^[0-9a-fA-F]"'
) do set "MD5=%%H"

echo MD5   : %MD5%
echo SHA256 : %SHA256%

MD5   : d41d8cd98f00b204e9800998ecf8427e
SHA256 : e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855

@echo off
setlocal

set "FILE=C:\download\setup.exe"
rem 配布元が提示するSHA256値（すべて大文字に統一しておく）
set "EXPECTED=A3F5D2E1B4C6789012345678ABCDEF0123456789ABCDEF0123456789ABCDEF01"

rem ファイルが存在するか確認
if not exist "%FILE%" (
    echo [ERROR] ファイルが見つかりません: %FILE%
    exit /b 1
)

rem ハッシュ値を計算して変数に格納
for /f "tokens=* delims=" %%H in (
    'certutil -hashfile "%FILE%" SHA256 ^| findstr /R "^[0-9a-fA-F]"'
) do set "ACTUAL=%%H"

rem /I オプションで大文字小文字を区別せずに比較
if /I "%ACTUAL%"=="%EXPECTED%" (
    echo [OK] ハッシュ値が一致しました。ファイルは正常です。
    echo  計算値: %ACTUAL%
    exit /b 0
) else (
    echo [NG] ハッシュ値が一致しません！ファイルが破損または改ざんされている可能性があります。
    echo  期待値: %EXPECTED%
    echo  計算値: %ACTUAL%
    exit /b 1
)

rem 一致した場合
[OK] ハッシュ値が一致しました。ファイルは正常です。
 計算値: a3f5d2e1b4c6789012345678abcdef0123456789abcdef0123456789abcdef01

rem 不一致の場合
[NG] ハッシュ値が一致しません！ファイルが破損または改ざんされている可能性があります。
 期待値: A3F5D2E1B4C6789012345678ABCDEF0123456789ABCDEF0123456789ABCDEF01
 計算値: b8c7a9f0e5d4321098765432fedcba9876543210fedcba9876543210fedcba98

@echo off
setlocal enabledelayedexpansion

set "TARGET_DIR=C:\distribution"
set "ALG=SHA256"
set "OUT_CSV=hash_list_%DATE:~0,4%%DATE:~5,2%%DATE:~8,2%.csv"

rem CSVヘッダー行を書き出し
echo "ファイルパス","%ALG%" > "%OUT_CSV%"

set COUNT=0
set ERRORS=0

for /r "%TARGET_DIR%" %%F in (*) do (
    set "HASH="
    for /f "tokens=* delims=" %%H in (
        'certutil -hashfile "%%~fF" %ALG% ^| findstr /R "^[0-9a-fA-F]"'
    ) do set "HASH=%%H"

    if defined HASH (
        echo "%%~fF","!HASH!" >> "%OUT_CSV%"
        set /a COUNT+=1
    ) else (
        echo [WARN] ハッシュ計算失敗: %%~fF
        set /a ERRORS+=1
    )
)

echo.
echo 完了: %COUNT% 件処理 / %ERRORS% 件失敗
echo 出力: %OUT_CSV%

"ファイルパス","SHA256"
"C:\distribution\setup.exe","a3f5d2e1b4c6..."
"C:\distribution\readme.txt","e3b0c44298fc..."
"C:\distribution\lib\core.dll","7f83b1657ff1..."

@echo off
setlocal enabledelayedexpansion

set "FILE=C:\app\important_config.ini"
set "BASELINE=C:\app\config_hash_baseline.txt"

rem ===== 現在のハッシュ値を計算 =====
for /f "tokens=* delims=" %%H in (
    'certutil -hashfile "%FILE%" SHA256 ^| findstr /R "^[0-9a-fA-F]"'
) do set "CURRENT_HASH=%%H"

rem ===== ベースラインが存在しない場合は初回登録 =====
if not exist "%BASELINE%" (
    echo %CURRENT_HASH% > "%BASELINE%"
    echo [初回登録] ハッシュ値を記録しました: %CURRENT_HASH%
    exit /b 0
)

rem ===== ベースラインと比較 =====
set /p BASELINE_HASH= < "%BASELINE%"

if /I "%CURRENT_HASH%"=="%BASELINE_HASH%" (
    echo [正常] ファイルに変更はありません。
) else (
    echo [警告] ファイルが変更されました！
    echo  登録時: %BASELINE_HASH%
    echo  現在値: %CURRENT_HASH%
    rem タスクスケジューラから実行する場合はここでメール通知やログ記録も可能
    exit /b 1
)

rem PowerShellからGet-FileHashを呼び出す
powershell -Command "Get-FileHash -Path 'C:\download\setup.exe' -Algorithm SHA256 | Select-Object -ExpandProperty Hash"

rem バッチ変数に代入する場合
for /f %%H in ('powershell -Command "Get-FileHash -Path 'C:\download\setup.exe' -Algorithm SHA256 | Select-Object -ExpandProperty Hash"') do set "HASH=%%H"

for /f %%H in ('certutil -hashfile "%FILE%" MD5 ^| findstr /R "^[0-9a-fA-F]"') do set "HASH=%%H"
rem ↑ tokens未指定の場合スペース区切りで最初のトークンのみ取得

for /f "tokens=* delims=" %%H in ('certutil -hashfile "%FILE%" MD5 ^| findstr /R "^[0-9a-fA-F]"') do set "HASH=%%H"
rem ↑ "tokens=* delims=" で行全体を1つのトークンとして取得

certutil -hashfile C:\My Documents\setup.exe SHA256
rem → 'C:\My' が引数1、'Documents\setup.exe' が引数2と解釈される

certutil -hashfile "C:\My Documents\setup.exe" SHA256

rem ネットワークドライブ上の大きなファイルは先にコピー
set "REMOTE_FILE=\\server\share\large_backup.zip"
set "LOCAL_COPY=%TEMP%\hash_target.tmp"

echo コピー中...
copy /y "%REMOTE_FILE%" "%LOCAL_COPY%" >nul
if %ERRORLEVEL% neq 0 (
    echo [ERROR] コピー失敗
    exit /b 1
)

echo ハッシュ計算中...
for /f "tokens=* delims=" %%H in (
    'certutil -hashfile "%LOCAL_COPY%" SHA256 ^| findstr /R "^[0-9a-fA-F]"'
) do set "HASH=%%H"

rem 一時ファイルを削除
del /f "%LOCAL_COPY%" >nul 2>&1

echo SHA256: %HASH%

rem certutil のフルパス（通常この場所に存在する）
set "CERTUTIL=%SystemRoot%\System32\certutil.exe"

if not exist "%CERTUTIL%" (
    echo [ERROR] certutil.exe が見つかりません
    exit /b 1
)

"%CERTUTIL%" -hashfile "%FILE%" SHA256

@echo off
setlocal

rem ===== 設定（ここを変更）=====
set "FILE=C:\download\setup.exe"
set "ALG=SHA256"
rem 配布元から取得したハッシュ値（大文字・小文字どちらでも可）
set "EXPECTED=a3f5d2e1b4c6789012345678abcdef0123456789abcdef0123456789abcdef01"

rem ===== 前提チェック =====
if not exist "%FILE%" (
    echo [ERROR] ファイルが見つかりません: %FILE%
    exit /b 1
)

rem ===== ハッシュ計算 =====
echo %ALG%ハッシュを計算中: %FILE%
for /f "tokens=* delims=" %%H in (
    'certutil -hashfile "%FILE%" %ALG% ^| findstr /R "^[0-9a-fA-F]"'
) do set "ACTUAL=%%H"

if not defined ACTUAL (
    echo [ERROR] ハッシュ計算に失敗しました。
    exit /b 1
)

rem ===== 照合 =====
echo 期待値: %EXPECTED%
echo 計算値: %ACTUAL%
echo.

if /I "%ACTUAL%"=="%EXPECTED%" (
    echo [OK] 検証成功: ファイルは正常です。
    exit /b 0
) else (
    echo [NG] 検証失敗: ファイルが破損または改ざんされている可能性があります。
    exit /b 1
)